お問い合わせ
話題の事件から政治・経済の真相まで徹底解説
広告
  1. ホーム
  2. 政治
  3. 【10/21】岩井コスモ証券にサイバー攻撃｜7口座で不正売買、委託先トレードワークスの管理機能を悪用

【10/21】岩井コスモ証券にサイバー攻撃｜7口座で不正売買、委託先トレードワークスの管理機能を悪用

政治
【10/21】岩井コスモ証券にサイバー攻撃｜7口座で不正売買、委託先トレードワークスの管理機能を悪用

岩井コスモ証券は2026年10月20日、ネット取引の売買管理システムが10月14日にサイバー攻撃を受け、顧客7口座で本人の意図しない売買注文が出され、うち5口座で取引が成立していたと発表しました。同じ日には、システムの運用・保守を任せている委託先、株式会社トレードワークスへの不正アクセスで、顧客の氏名やメールアドレスなどが漏れたことも分かっています。漏えいの人数は当初の4,611名から、再調査で4,975名に増えました。

10月21日には木原稔官房長官が記者会見で、金融庁が同社に原因の分析と再発防止策の策定を求めていると明らかにしました。この記事では、何が起きたのか、公表の順番がなぜ前後したのか、2025年から続く証券口座の乗っ取りとどこが違うのか、利用者がいま何をすればよいのかを、岩井コスモ証券とトレードワークスの発表、金融庁の資料、報道をもとに整理します。

この記事でわかること

  • 起きたこと：10月14日、売買管理システムへの攻撃で7口座に意図しない注文が出され、5口座で約定。同日に取引前の状態へ戻し、顧客の負担は無いと同社は説明しています。
  • 攻撃の入口：委託先トレードワークスのシステムの「一部の管理機能の設定不備」が悪用されました。同社は21日、脆弱性を突いた「総当たり攻撃」で、パスキー認証が破られたものではないと説明しています。
  • 国の対応：金融庁が原因分析と再発防止策の策定を要求。10月9日には金融機関全体に、委託先の管理を含むサイバー対策の点検を求めていました。
目次

岩井コスモ証券のサイバー攻撃で何が起きたのか

委託先システムへの不正アクセスで顧客情報が漏れ、同じ日に売買管理システムも攻撃されて7口座で不正な注文が出ました。

岩井コスモ証券は、ネット取引のシステムの運用と保守をトレードワークス（東証スタンダード上場）に委託しています。10月14日、岩井コスモ証券が第三者の不正アクセスを検知し、トレードワークスに連絡したうえでアクセス制限などの緊急措置を取りました。この不正アクセスで分かった被害は、大きく2つあります。1つは顧客情報の漏えい、もう1つは顧客口座での意図しない売買です。

7口座で意図しない売買注文、5口座で約定

10月14日、売買管理システムへの攻撃で7口座に注文が出され、そのうち5口座で売買が成立しました。

同社の第2報によると、対象の顧客には14日のうちに個別に連絡し、取引前の状態に戻す措置を終えています。このため顧客の負担は生じていないと説明しています。また、この不正取引には、漏えいした個人情報は使われていないとしています。何の銘柄が、いくらで売買されたのかは公表されていません。

顧客情報4,975名分の漏えい

漏れたのはネット取引の顧客4,975名分の氏名やメールアドレスなどで、取引暗証番号は含まれていません。

10月16日の第1報では対象を4,611名としていましたが、アクセス記録と通信記録を調べ直した結果、364名分が新たに判明しました。同社は、これは新しい不正アクセスではなく、14日の時点で起きていたものを後から把握したと説明しています。漏れた情報だけでは証券口座へのログインや取引はできないとしています。

10月14日から10月21日までの時系列

14日に攻撃、16日に情報漏えいの公表、20日に不正取引の公表、21日に政府の対応と会社の説明という順です。

各社の発表と報道で確認できる流れを、日付順に表にまとめます。

日付 出来事 出どころ
10月9日 金融庁が金融機関に、委託先の管理を含むサイバー対策の点検と、非対面の本人確認の徹底を要請 金融庁
10月14日 不正アクセスを検知し緊急措置。同日、売買管理システムへの攻撃で7口座に注文、5口座で約定。顧客に連絡し取引前の状態へ戻す 岩井コスモ証券（第2報）
10月16日 顧客4,611名分の情報漏えいを公表。トレードワークスも適時開示で原因を説明 岩井コスモ証券・トレードワークス
10月20日 第2報で漏えいが4,975名に増えたことと、不正取引を公表 岩井コスモ証券（第2報）
10月21日 木原官房長官が、金融庁が原因分析と再発防止策の策定を求めていると説明 官房長官会見（ANN・日本経済新聞）
10月21日夕方 岩井コスモ証券が「AIを用いた攻撃」と発表。のちに委託先の説明を受けてAIの記述を削除 共同通信

表のとおり、不正取引そのものは14日に起きていましたが、世の中に伝わったのは20日でした。次の節で、その理由を見ます。

なぜ不正取引の公表は6日後になったのか

対策を進めている途中で、手口につながる情報を出すのを控えたためだと、岩井コスモ証券は第2報で説明しています。

16日の第1報の時点では、同じ被害を防ぐ対策を段階的に進めている最中でした。そのため不正取引の事実を伏せ、対策を終えて確認したうえで20日にあわせて報告したとしています。同社は、説明が遅れたことを改めて謝罪しています。なお、7口座の顧客本人には14日のうちに知らせていたとしています。

（編集部分析）攻撃が続いているかもしれない段階で手口を公表すると、別の攻撃者に入口を教えることになりかねません。公表を控えた判断には一定の理由があると評価できます。一方で、16日の第1報が「漏れた情報だけでは取引はできない」と強調していたのに、実際には別の経路で取引が成立していたことは、利用者から見れば不安の残る出し方でした。公表の時期を後ろにずらすなら、「調査中の事項がある」とだけでも先に伝える工夫の余地があったという観点では課題が残ります。

攻撃の入口は委託先トレードワークスの「管理機能」

トレードワークスは、自社システムの一部の管理機能に設定の不備があり、第三者に悪用されたと説明しています。

トレードワークスが10月16日に出した適時開示によると、不正アクセスは同社が岩井コスモ証券に提供しているインターネット取引システムで起きました。同社は「当社の管理が不十分であったことによるもの」と認めています。悪用された管理機能を通じて、顧客のパスワードが取られたことは確認されていないとしています。

「AIで攻撃」と発表し、のちに「断定できない」と修正（10月21日）

岩井コスモ証券は21日、攻撃にAIが使われたと発表しましたが、同じ日のうちにその記述を発表文から消しました。

共同通信の配信によると、同社は21日夕方、「悪意ある第三者が人工知能（AI）を用いてシステムの脆弱性を突き、攻撃を仕掛けてきた」と発表しました。その後、委託先のトレードワークスから、AIが使われたとは「断定はできない」との説明を受け、発表文からAIの文言を削除したと共同通信が同日17時台に伝えています。

同社のネット取引サイトに21日付で載った報告では、悪意ある第三者がシステムの脆弱性を突いて「総当たり攻撃」を仕掛けてきたと説明し、AIには触れていません。同じ報告は、遮断までに5件の不正な約定が起きたこと、4,975件の顧客情報が閲覧できる状態になっていたこと、パスワードなどはマスキング（伏せ字）処理されていて攻撃者は見られないことも説明しています。どの機能に、どのような総当たりが行われたのかといった技術的な詳細は、この記事の公開時点で公表されていません。

顧客のログインには多要素認証とパスキーがあった

通常のログイン経路からの不正ログインは防がれていたと、トレードワークスは説明しています。

適時開示によると、顧客のログインには多要素認証やパスキーなど、何重にもした認証が設けられていました。岩井コスモ証券も21日の発表で、今回の件は「パスキー認証が突破されたものでない」と明記しています。顧客側のパスワード管理や認証の設定とは別のところに穴があったことになります。ただし、攻撃がどの経路をたどって2つの被害につながったのか、技術的な詳細は公表されていません。両社の発表で分かっていることを、項目ごとに並べます。

顧客のログイン
多要素認証・パスキーの通常経路は破られていない（両社）
原因として説明されたもの
委託先システムの一部の管理機能の設定不備を第三者が悪用（トレードワークス）
被害1
顧客4,975名分の氏名・メールアドレスなどの漏えい
被害2
売買管理システムへの攻撃で7口座に注文、5口座で約定（14日に原状回復）

図のとおり、問題の箇所は顧客の側ではなく、証券会社が仕事を任せた先のシステムにありました。ここが、金融庁が注意を呼びかけてきた口座乗っ取りとの大きな違いです。

トレードワークスが損失を全額負担する方針

今回の件で生じた損失と対応費用は、トレードワークスが全額を負担する方針です。

適時開示によると、補償額は精査中で、同社が入っているサイバー保険の適用を見込んでいます。業績への影響は精査し、開示すべきことが出れば知らせるとしています。

ほかの金融機関への広がりは確認されていない

トレードワークスは、同じシステムを使うほかの金融機関も点検し、同様の不正アクセスは確認されていないとしています。

同社は事案の判明後、悪用された管理機能の利用停止、不正な接続の無効化と攻撃元からの通信の遮断、不正アクセス対策の強化を同じ日のうちに行ったと説明しています。外部の専門機関による点検も続け、攻撃に関する情報は関係機関と共有するとしています。

2025年の証券口座の乗っ取りと何が違うのか

金融庁が注意を呼びかけてきた口座乗っ取りは、顧客のログイン情報を盗む形ですが、今回は委託先のシステム側に穴がありました。

金融庁は2025年4月3日から、インターネット取引への不正アクセスと不正取引について注意喚起のページを出し、2026年10月9日にも更新しています。そこでは、偽のメールやSMSのリンクを開かないこと、ブックマークから証券会社のサイトに入ることなど、利用者の側でできる対策を挙げています。今回の件と並べると、違いは次のとおりです。

比べる点 金融庁が注意を呼びかけてきた乗っ取り 岩井コスモ証券の今回の件
入口 偽のメール・SMSなどで顧客のログイン情報を盗む 委託先システムの管理機能の設定不備
顧客の認証 盗まれたIDとパスワードでログインされる 多要素認証・パスキーの通常経路は破られていない
利用者の対策で防げるか リンクを開かない・多要素認証で防ぎやすい 利用者側の対策だけでは防げない
顧客の負担 補償は各社の対応による 取引前の状態に戻し、負担なしと同社が説明

表のように、今回は利用者がどれだけ気をつけても防ぎにくい型でした。だからこそ、証券会社と委託先がどこまで点検できているかが問われています。

金融庁と政府の対応（木原官房長官・10月21日）

金融庁は岩井コスモ証券に、原因の分析と再発防止策の策定を求めています。木原稔官房長官が10月21日の会見で明らかにしました。

金融庁が原因分析と再発防止策を要求

木原長官は「金融庁において、同社に対し原因分析と再発防止策の策定などを求めているところです」と述べました。

ANNの報道によると、木原長官は、被害を受けた顧客の口座はすでに不正取引の前の状態に戻されたと説明しました。そのうえで政府として、攻撃の手口などの情報を集めて分析し、関係省庁が連携して被害を防ぐ考えを示しています。

10月9日の要請：委託先の管理と本人確認

金融庁は今回の攻撃の5日前、金融機関全体に委託先の管理を含むサイバー対策の点検を求めていました。

10月9日の要請「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」は、次の3点です。内閣官房国家サイバー統括室の注意喚起などを踏まえ、サードパーティリスク管理（委託先などの管理）やインシデント対応の体制を含めて点検すること。非対面の本人確認で、本人確認書類の画像と顔の画像に不自然な点がないかを確かめること。2027年4月1日から本人確認書類の画像送信方式が廃止されICチップの読み取りに一本化されるのを待たず、できるだけ早く対応すること、です。

（編集部分析）証券会社のネット取引は、国民の資産形成を支える基盤であり、ここが外から操作されることは一企業の不祥事にとどまらない問題です。今回の入口は、顧客でも証券会社本体でもなく、システムを任された委託先でした。多くの金融機関が同じ委託先の仕組みを使う以上、1社の設定不備が業界全体の弱点になりえます。金融庁が9日に「委託先の管理」を名指しで点検させたのは筋が通っており、その5日後に実際の被害が出たことは、点検を要請で終わらせず、結果を確かめる仕組みが要ることを示していると評価できます。攻撃の手口を関係機関で共有するとしたトレードワークスの対応は、国全体の守りを固める観点で前向きに評価できます。誰が攻撃したのかは公表されておらず、ここで断定はできませんが、金融の基盤を守ることを経済安全保障の問題として扱う視点が欠かせません。

岩井コスモ証券の利用者が今できること

不正取引の対象者には連絡済みなので、まずは連絡の有無と取引履歴を確かめ、不審な電話やメールに注意することです。

両社は、岩井コスモ証券を装った不審な電話やメールが来るおそれがあるとして注意を呼びかけています。漏れたのは氏名とメールアドレスなどなので、それらを使った「本物らしい連絡」が届く可能性があります。具体的には次のことを確かめておくと安心です。

  • ログイン後の「お知らせ」画面とメールで、同社から個別の連絡が来ていないかを見る（新たに分かった364名にはこの方法で連絡したと同社は説明しています）
  • 取引履歴に、自分で出していない注文が無いかを見る
  • メールやSMSのリンクから証券会社のサイトに入らず、ブックマークから入る（金融庁の注意喚起）
  • 多要素認証や取引の通知を有効にし、パスワードを使い回さない（金融庁の注意喚起）
  • 心当たりの無い連絡や取引があれば、岩井コスモ証券のお客様相談室（0120-405-546、平日9時〜17時）に問い合わせる

今回の不正取引は顧客側の対策で防げる型ではありませんでしたが、漏れた情報を使った二次的な詐欺は、利用者の側で防げます。

Q. 自分が対象かどうか分からないときは、どうすればよいですか？

A. 連絡の有無だけで判断せず、お客様相談室（0120-405-546、平日9時〜17時）に問い合わせるのが確実です。そのときも、電話番号は同社の公式サイトで確かめたものを使ってください。

確かめ方と問い合わせ先が分かったところで、残る疑問をまとめます。

岩井コスモ証券のサイバー攻撃のよくある質問

ネット取引は通常どおり使え、パスキー認証は破られておらず、攻撃者はまだ公表されていません。発表の範囲で答えます。

Q. 今、岩井コスモ証券のネット取引は使えますか？

A. 10月20日時点の同社の説明では使えます。第2報で、ネット取引システムは安定して動いており、通常どおり取引できると説明しています。原因の箇所の特定と修正も終えたとしています。

Q. パスキーを設定していなかった人は、設定したほうがよいですか？

A. 設定したほうがよいです。岩井コスモ証券は21日の報告で、利用者にパスキーの設定を、設定していない場合は多要素認証の利用を強く勧めています。

Q. 誰が攻撃したのか分かっていますか？

A. 公表されていません。両社の発表は「第三者による不正アクセス」とするだけで、攻撃者や目的には触れていません。

原因分析の結果や再発防止策が公表されれば、この記事でも追って確かめます。

参考情報

政治
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！
目次